En julio circuló un titular cómodo: «Bruselas retrasa el AI Act». Se leyó en diagonal, se reenvió por Slack con un emoji de alivio y se archivó junto a las cosas que ya se mirarán en septiembre. Tres semanas después, casi nadie en la empresa media española sabe que hay una parte del reglamento que lleva en vigor desde el 2 de agosto y que le toca directamente.
La tesis en una frase: lo que se aplazó es la parte que casi ninguna pyme tenía encima, y lo que NO se aplazó es la parte que tiene casi todo el mundo —un chatbot en la web, un generador de imágenes en marketing, un asistente interno—. El titular del retraso te tranquilizó justo sobre lo que no te afectaba.
Qué cambió de verdad en el AI Act en agosto de 2026
El instrumento se llama ómnibus digital sobre IA —Reglamento (UE) 2026/1744— y entró en vigor el 27 de julio de 2026, nueve días antes de la fecha que llevaba dos años marcada en rojo. Su efecto no fue congelar el reglamento: fue mover unas fechas y dejar otras exactamente donde estaban. El motivo declarado tampoco es misterioso: las normas armonizadas y las guías de implementación que hacían falta para operar la ley no llegaron a tiempo.
| Bloque | Fecha antes | Fecha ahora |
|---|---|---|
| Sistemas de alto riesgo del Anexo III (empleo, educación, crédito, infraestructura crítica…) | 2 de agosto de 2026 | 2 de diciembre de 2027 |
| Alto riesgo embebido en productos regulados (Anexo I) | 2 de agosto de 2027 | 2 de agosto de 2028 |
| Transparencia (artículo 50): chatbots, contenido sintético, deepfakes | 2 de agosto de 2026 | 2 de agosto de 2026 — sin cambios |
| Prácticas prohibidas (artículo 5) y alfabetización en IA (artículo 4) | 2 de febrero de 2025 | 2 de febrero de 2025 — ya en vigor |
Léela otra vez y quédate con la tercera fila. Es la única que no se movió y es, casualmente, la que más empresas tocan sin saberlo.
El artículo 50 es la parte que casi nadie leyó, y es la que te toca
El artículo 50 no habla de algoritmos que deciden despidos ni de scoring crediticio. Habla de algo mucho más banal: que la gente sepa cuándo está tratando con una máquina y cuándo lo que está viendo lo generó una máquina. Cuatro obligaciones, ninguna exótica:
- Tu chatbot tiene que decir que es un chatbot. Si una persona interactúa con un sistema de IA, hay que informarla, salvo que resulte obvio para alguien razonablemente atento. «Hola, soy Marta del equipo de atención» sin más contexto ya no es una decisión de copy: es una decisión regulatoria.
- El contenido sintético tiene que ir marcado de forma legible por máquina. Texto, imagen, audio o vídeo generados o manipulados por IA llevan una marca que un sistema pueda detectar. No basta con que tú sepas que lo hizo un modelo.
- Los deepfakes se etiquetan. Si publicas contenido que parece una persona, un lugar o un hecho reales y no lo es, se dice.
- El reconocimiento de emociones y la categorización biométrica se informan. Si tu sistema clasifica a alguien por su cara, su voz o su estado emocional, esa persona tiene que saberlo.
Ninguna de las cuatro exige un proyecto de seis meses. Todas exigen que alguien las mire. Y ahí está el problema real, que no es jurídico.
Por qué esto es un problema de operación y no de departamento legal
El reflejo de casi todas las empresas ante una sigla regulatoria es mandarla a legal, recibir un informe de veinte páginas y guardarlo. Con el artículo 50 ese reflejo falla, porque la obligación no vive en un contrato: vive en el producto. Vive en la primera línea del widget de tu web, en el pie de una imagen de campaña, en el flujo del asistente interno que alguien montó en marzo y que nadie ha vuelto a abrir.
Y vive, sobre todo, en un inventario que casi nadie tiene. La pregunta que hunde la mayoría de las reuniones no es «¿cumplimos?», es «¿cuántos sistemas de IA de cara al usuario tenemos ahora mismo?». Si la respuesta tarda más de un minuto, el problema no es de cumplimiento: es de gobernanza y control de la automatización con IA, y el cumplimiento es solo el primer sitio donde se nota.
Qué hacer esta semana si tienes un bot, un generador de contenido o un asistente interno
- Haz la lista. Todos los sistemas de IA con los que interactúa una persona —cliente o empleado— y todos los que generan contenido publicable. Incluye lo que montó una agencia, lo que vino dentro de una herramienta que ya pagabas y lo que alguien conectó sin avisar.
- Revisa la revelación. Cada punto de contacto conversacional dice, antes de la primera respuesta, que hay una IA detrás. En el idioma del usuario y sin letra pequeña.
- Comprueba el marcado. Coge una imagen o un audio generados la semana pasada, míralos como los ve una máquina y confirma que la marca sigue ahí después de pasar por tu gestor de contenidos.
- Escribe quién responde. Cada sistema de la lista, con un nombre al lado. No un departamento: una persona. Es la mitad del trabajo de cualquier auditoría futura y la única forma de que la lista no envejezca.
- Deja traza. Qué versión del sistema estaba viva, qué generó y cuándo. Cuando alguien pregunte por un caso concreto dentro de ocho meses, la respuesta no puede ser una reconstrucción: eso es trazabilidad de decisiones de IA, y se monta antes de necesitarla, no después.
Cuatro de los cinco puntos son inventario y disciplina. Solo el tercero puede obligarte a cambiar una herramienta. Es, con diferencia, la obligación regulatoria más barata que te va a llegar en años —y precisamente por eso no hay excusa para llegar tarde.
El error de leer «aplazado» como «ya veremos»
Hay una segunda trampa en el titular. El ómnibus no fue solo un retraso: también amplió la lista de prácticas prohibidas, con nuevas prohibiciones que entran el 2 de diciembre de 2026. Quien leyó «se relaja la regulación» leyó mal. Se movió el calendario de una parte, se endureció otra, y la de transparencia se quedó quieta.
En España se añade un matiz que confunde a mucha gente: el proyecto de ley que designa a la autoridad nacional y fija el régimen sancionador sigue en tramitación parlamentaria. De ahí se salta con demasiada facilidad a la conclusión de que «entonces no pasa nada». No funciona así. Un reglamento europeo aplica directamente; que el aparato sancionador nacional no esté cerrado afecta a cuándo y cómo se sanciona, no a si la obligación existe. Y hay un supervisor que no espera a ningún proyecto de ley: tu cliente grande, que ya te está mandando cuestionarios de proveedor con estas preguntas dentro.
Lo que sí puedes aparcar, y hasta cuándo
Si tu sistema cae en el Anexo III —cribado de currículums, evaluación de estudiantes, scoring de crédito, gestión de infraestructura crítica— tienes hasta el 2 de diciembre de 2027. Es un año y medio más, y es real: úsalo. Pero úsalo para construir, no para esperar, porque las obligaciones de alto riesgo no son un formulario. Son documentación técnica, gestión de riesgos, calidad del dato, registro de eventos y supervisión humana efectiva. Eso último, además, no es papeleo: es una decisión de diseño que hay que tomar mientras se construye, no al final —lo tienes desarrollado en humano en el bucle en la automatización con IA.
Y hay una parte que no se aplazó nunca y que casi todo el mundo sigue ignorando: la alfabetización en IA. Está en vigor desde febrero de 2025. Significa que quien usa estos sistemas en tu empresa tiene que entender qué hace y qué no. En la práctica, la mayoría de los incidentes que hemos visto no vienen de un modelo malo: vienen de alguien que le dio a un modelo un trabajo para el que no servía.
Qué te llevas
- El AI Act en agosto de 2026 no se aplazó entero. Se aplazó el alto riesgo del Anexo III a diciembre de 2027 y el del Anexo I a agosto de 2028.
- El artículo 50 —chatbot que se identifica, contenido sintético marcado, deepfake etiquetado, reconocimiento de emociones informado— es exigible desde el 2 de agosto de 2026.
- Es la obligación que más empresas tocan y la más barata de cumplir, si sabes qué sistemas tienes vivos.
- El cuello de botella no es legal: es que nadie tiene el inventario ni el dueño de cada sistema.
- «Aplazado» no significa «desactivado»: el mismo ómnibus amplió las prácticas prohibidas a partir de diciembre de 2026.
Si al leer esto no has podido enumerar de memoria tus sistemas de IA de cara al usuario, el trabajo no empieza por la revelación del chatbot: empieza por el inventario y por poner un nombre al lado de cada línea. Eso es lo que montamos en cumplir el AI Act operando IA, y el andamiaje de fondo —quién puede tocar qué dato, con qué permiso y con qué rastro— es gobierno del dato. El reglamento te ha regalado dieciséis meses en la parte cara. Sería un desperdicio gastarlos esperando.